Mục lục bài viết5 mục
Giám sát website đúng cách cho bạn biết có chuyện bất thường trong vài giờ thay vì vài tuần, và đó là khác biệt giữa một sự cố nhỏ và một đợt mất lưu lượng kéo dài. Bài này đưa sáu cảnh báo nên đặt cùng cách cấu hình từng cái.
Nguyên tắc: phát hiện sớm quan trọng hơn phòng thủ kín
Không có cách nào chặn hoàn toàn việc bị nhắm tới, nên mục tiêu thực tế không phải là bất khả xâm phạm.
Mục tiêu đúng là rút ngắn khoảng thời gian từ lúc chuyện xảy ra tới lúc bạn biết. Một trang bị chèn mã ẩn phát hiện sau hai ngày thì gỡ trong một buổi. Phát hiện sau hai tháng thì phần lớn kho bài đã bị ảnh hưởng và việc khôi phục kéo dài hàng quý.
Giám sát website vì thế nên thiết kế quanh câu hỏi cái gì đổi, chứ không phải quanh câu hỏi cái gì sai. Bạn không biết trước hình dạng của sự cố, nhưng bạn biết trạng thái bình thường trông thế nào.
Hệ quả thực tế: mọi cảnh báo nên dựa trên mức thay đổi so với đường nền, không dựa trên một ngưỡng cố định. Ngưỡng cố định hoặc kêu suốt hoặc không bao giờ kêu.
Sáu cảnh báo giám sát website nên đặt
Sáu cảnh báo giám sát website dưới đây phủ phần lớn nhóm sự cố, và tất cả đều đặt được bằng công cụ miễn phí.
Cảnh báo thứ nhất là biến động số trang được index. Kiểm hàng tuần trong bộ công cụ quản trị, ghi con số vào bảng. Thay đổi trên mười phần trăm trong một tuần là dấu hiệu cần xem ngay.
Cảnh báo thứ hai là thời gian phản hồi của máy chủ. Dùng dịch vụ theo dõi thời gian hoạt động, đặt ngưỡng ở mức gấp đôi thời gian phản hồi trung bình của bạn.
Cảnh báo thứ ba là thay đổi tệp trên máy chủ. Nhiều lớp bảo vệ có chức năng này. Nó bắt được việc mã bị chèn vào tệp giao diện, thứ khó phát hiện bằng mắt nhất.
Cảnh báo thứ tư là cảnh báo theo câu cho các bài quan trọng. Chọn một câu dài đặc trưng trong mỗi bài, đặt cảnh báo cho chuỗi đó. Nó báo khi bài của bạn xuất hiện ở nơi khác.
Cảnh báo thứ năm là biến động hồ sơ liên kết. Kiểm báo cáo liên kết hàng tháng, chú ý các tuần có số tên miền mới tăng vọt.
Cảnh báo thứ sáu là thông báo trong bộ công cụ quản trị. Bật nhận thư cho mọi loại thông báo, vì nhóm hành động thủ công và cảnh báo bảo mật chỉ hiện ở đó.
Bốn lớp bảo vệ nền cho website
Giám sát website cho biết có chuyện, còn bốn lớp dưới đây giảm khả năng chuyện xảy ra.
Lớp thứ nhất là cập nhật. Nền tảng, giao diện, plugin đều phải ở phiên bản mới. Phần lớn cuộc tấn công khai thác lỗ hổng đã có bản vá từ nhiều tháng trước.
Lớp thứ hai là kiểm soát quyền truy cập. Mỗi người một tài khoản riêng, quyền vừa đủ với việc họ làm, bật xác thực hai lớp cho nhóm quản trị. Gỡ tài khoản của người đã nghỉ ngay trong ngày.
Lớp thứ ba là tường lửa cho ứng dụng web. Nó lọc phần lớn yêu cầu độc hại trước khi chúng chạm tới website, và các gói phổ biến đều có bản đủ dùng cho website vừa và nhỏ.
Lớp thứ tư là sao lưu tự động, lưu ở nơi tách khỏi máy chủ chính. Sao lưu là thứ duy nhất cứu được bạn trong trường hợp xấu nhất, và nó phải được thử khôi phục ít nhất một lần để biết nó hoạt động.
Bốn lớp này cấu hình trong một ngày và sau đó gần như không tốn công duy trì.
Quy trình xử lý khi cảnh báo kêu
Giám sát website mà không có quy trình xử lý thì lúc sự cố xảy ra vẫn lúng túng, nên chốt trước bốn bước.
Bước một, xác nhận đây là sự cố thật hay báo động giả. Phần lớn cảnh báo đầu tiên là do chính đội bạn vừa thay đổi gì đó. Hỏi trước khi điều tra.
Bước hai, khoanh vùng. Ảnh hưởng nằm ở một trang, một nhóm, hay toàn website. Câu trả lời này quyết định hướng đi tiếp và mất khoảng mười lăm phút.
Bước ba, ghi lại hiện trạng trước khi sửa. Ảnh chụp màn hình, bản sao mã nguồn trang, số liệu tại thời điểm đó. Sửa trước rồi mới ghi thì bằng chứng biến mất.
Bước bốn, sửa rồi theo dõi ít nhất hai tuần. Nhiều sự cố quay lại vì nguyên nhân gốc chưa được xử lý, chỉ có triệu chứng được che đi.
Ghi toàn bộ vào một nhật ký sự cố. Sau vài lần, nhật ký này cho thấy nhóm sự cố nào hay lặp lại, và đó là chỗ đáng đầu tư phòng ngừa.
Điều không nên làm khi nghi bị tấn công
Ba phản ứng dưới đây phổ biến khi giám sát website vừa báo động, và cả ba đều gây hại nhiều hơn lợi.
Đừng khai báo từ chối hàng loạt liên kết ngay khi thấy có liên kết lạ. Việc giám sát website cho bạn thấy nhiều thứ, nhưng thấy không có nghĩa là phải hành động. Khai báo nhầm loại bỏ cả liên kết đang có ích.
Đừng chặn hàng loạt địa chỉ máy chủ vì thấy lượng truy cập tăng. Bạn dễ chặn nhầm trình thu thập của máy tìm kiếm, và hậu quả của việc đó nặng hơn nhiều so với chính đợt truy cập kia.
Đừng công khai cáo buộc đối thủ khi chưa có bằng chứng. Ngoài rủi ro pháp lý, việc đó chiếm mất thời gian đáng lẽ dành cho việc khôi phục.
Nguyên tắc chung: ưu tiên củng cố phần của mình thay vì đuổi theo bên kia. Phần bạn kiểm soát được luôn cho kết quả chắc chắn hơn.
Người bắt đầu dựng hệ thống theo dõi hay hỏi mấy điều dưới đây.
=== FAQ === Q: Cần bao nhiêu chi phí cho việc giám sát website ở mức cơ bản? A: Sáu cảnh báo ở trên đặt được gần như miễn phí, chỉ dịch vụ theo dõi thời gian hoạt động và tường lửa là có gói trả phí, và bản miễn phí của chúng đủ cho website vừa. Q: Nên kiểm các chỉ số này bao lâu một lần? A: Nhóm tự động thì để chạy liên tục, còn nhóm kiểm tay như số trang được index và hồ sơ liên kết thì hàng tuần và hàng tháng là đủ. Q: Bị chèn mã ẩn thì khôi phục thế nào? A: Khôi phục từ bản sao lưu sạch gần nhất, vá lỗ hổng đã bị khai thác, đổi toàn bộ mật khẩu, rồi gửi yêu cầu xem xét lại nếu đã nhận cảnh báo bảo mật.
Giá trị của việc giám sát website nằm ở tốc độ phát hiện, không nằm ở số lượng công cụ. Nên đặt ba cảnh báo đầu tiên ngay hôm nay, vì chúng mất khoảng một giờ để cấu hình và bao được nhóm sự cố gây thiệt hại nhanh nhất.
